La demande de Vladkarok visant à vérifier un instantané plus récent d’Omabump reste ouverte dans omacom/omarchy-plugin-marketplace#10910. Lors de la revue, HANCORE-linux a repéré un hook du paquet Voxtype qui lisait un fichier de transfert dans un répertoire temporaire partagé sans en vérifier le propriétaire, et acceptait comme lanceur système un exécutable contrôlé par un attaquant. Il s'agissait du mécanisme mis en cause.
Vladkarok a confirmé le mécanisme et expliqué que le même hook s’exécutait lors des mises à niveau ordinaires des paquets : la correction devait donc porter sur le paquet plutôt que sur le plugin. L’auteur a décrit une modification proposée reposant sur un stockage réservé à root et sur des restrictions des chemins d’exécutables restaurés, puis prévu de mettre à jour la recette épinglée d'Omabump une fois ce correctif fusionné. omacom/omarchy-plugin-marketplace#10910:issuecomment-6098036843 consigne cette réponse ; la discussion fournie ne permet pas d’établir que la correction du paquet a été menée à terme.
